CWE-1289

Funkcje ToASCII i ToUnicode w pakiecie idna języka Go nieprawidłowo akceptują etykiety zakodowane w formacie Punycode, które dekodują się do etykiet zawierających wyłącznie znaki ASCII. Błąd ten może prowadzić do privilege escalation w aplikacjach wykorzystujących ten pakiet do kontroli dostępu na podstawie nazw hostów.

Endpoint autoryzacji OAuth w chmurze Aqara (open-cn.aqara.com/oauth/authorize) jest podatny na ominięcie mechanizmu weryfikacji domeny przekierowania, co umożliwia nieautoryzowane przechwycenie kodu autoryzacyjnego OAuth. Podatność uzyskała ocenę CVSS 9.3 (Critical) ze względu na potencjalną kompromitację poufności i integralności danych użytkownika.

Biblioteka fast-jwt (implementacja JSON Web Token) w wersjach od 0.0.1 do przed 6.2.0 jest podatna na kolizje cache przy użyciu niestandardowego mechanizmu budowania kluczy (cacheKeyBuilder). Błąd może skutkować tym, że jeden token JWT zostaje skojarzony z roszczeniami (claims) innego tokenu, co prowadzi do błędnej identyfikacji użytkowników.

When verifying a certificate chain containing excluded DNS constraints, these constraints are not correctly applied to wildcard DNS SANs which use a different case than the constraint. This only affects validation of otherwise trusted certificate chains, issued by a root CA in the VerifyOptions.Roots CertPool, or in the system certificate pool.

ORY Oathkeeper is an Identity & Access Proxy (IAP) and Access Control Decision API that authorizes HTTP requests based on sets of Access Rules. Versions prior to 26.2.0 are vulnerable to authentication bypass due to cache key confusion. The `oauth2_introspection` authenticator cache does not distinguish tokens that were validated with different introspection URLs. An attacker can therefore legitimately use a token to prime the cache, and subsequently use the same token for rules that use a different introspection server. Ory Oathkeeper has to be configured with multiple `oauth2_introspection` authenticator servers, each accepting different tokens. The authenticators also must be configured to use caching. An attacker has to have a way to gain a valid token for one of the configured introspection servers. Starting in version 26.2.0, Ory Oathkeeper includes the introspection server URL in the cache key, preventing confusion of tokens. Update to the patched version of Ory Oathkeeper. If that is not immediately possible, disable caching for `oauth2_introspection` authenticators.

1Password 8 before 8.10.36 for macOS allows local attackers to exfiltrate vault items because XPC inter-process communication validation is insufficient.

Date::Manip versions through 7.00 for Perl return corrupted dates via non-ASCII decimal digits that pass the numeric range tests in check. The parse regexes capture year, month and day with the `\d` shorthand, which on a character string matches the whole Unicode decimal digit property `\p{Nd}` and not just `[0-9]`. Date::Manip::Base::check then validates the captured fields with numeric comparisons alone (`$y<1 || $y>9999`, `$m<1 || $m>12`, `$d<1 || $d>$days`), and _parse_check stores the numified fields (`$y+0`). Perl truncates a string at the first character that is not an ASCII digit, so a field whose leading characters are ASCII digits numifies to an in-range prefix and satisfies every test: a year field of three ASCII digits followed by U+0664 ARABIC-INDIC DIGIT FOUR numifies to 202, giving the year 0202, and one non-ASCII digit in the month or day field shifts those fields the same way. The hour, minute and second fields match explicit ASCII character classes (`0?[0-9]`, `[0-5][0-9]`) and do not shift, though a non-ASCII digit in a fractional hour or minute field truncates the fraction. Any caller that passes an untrusted character string to ParseDate() or Date::Manip::Date->parse() can get back a date that differs from the string it parsed, with no parse error. Where the parsed date gates logic such as an expiry check or a retention window, the shift goes unnoticed.

Impact: Fastify applications using schema.body.content for per-content-type body validation can have validation bypassed entirely by prepending a space to the Content-Type header. The body is still parsed correctly but schema validation is skipped. This is a regression introduced in fastify >= 5.3.2 by the fix for CVE-2025-32442 Patches: Upgrade to fastify v5.8.5 or later. Workarounds: None. Upgrade to the patched version.

Net::CIDR::Set versions through 0.20 for Perl did not validate network masks. The mask portion of a network mask could contain Unicode digits such as the Arabic-Indic One (U+0661), or non-digits, which were ignored. This could allow network masks to accept larger networks. Leading zeros were also accepted, but treated as decimal instead of octal. This could lead to confusion about what networks are acceptable.

An issue was discovered in za-internet C-MOR Video Surveillance 5.2401 and 6.00PL01. Due to insufficient input validation, the C-MOR web interface is vulnerable to OS command injection attacks. It was found out that different functionality is vulnerable to OS command injection attacks, for example for generating new X.509 certificates, or setting the time zone. These OS command injection vulnerabilities in the script generatesslreq.pml can be exploited as a low-privileged authenticated user to execute commands in the context of the Linux user www-data via shell metacharacters in HTTP POST data (e.g., the city parameter). The OS command injection vulnerability in the script settimezone.pml or setdatetime.pml (e.g., via the year parameter) requires an administrative user for the C-MOR web interface. By also exploiting a privilege-escalation vulnerability, it is possible to execute commands on the C-MOR system with root privileges.

Mercure is a protocol for pushing data updates to web browsers and other HTTP clients in a battery-efficient way. Prior to 0.22.0, a cache key collision vulnerability in TopicSelectorStore allows an attacker to poison the match result cache, potentially causing private updates to be delivered to unauthorized subscribers or blocking delivery to authorized ones. The cache key was constructed by concatenating the topic selector and topic with an underscore separator. Because both topic selectors and topics can contain underscores, two distinct pairs can produce the same key. An attacker who can subscribe to the hub or publish updates with crafted topic names can exploit this to bypass authorization checks on private updates. This vulnerability is fixed in 0.22.0.

Fedify is a TypeScript library for building federated server apps powered by ActivityPub. Prior to versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3, an attacker can make use of JSON-LD features to restructure a JSON-LD document that would change how Fedify interprets it without changing its Linked Data Signature, allowing them to alter a third-party signed activity they have received. Versions 1.9.11, 1.10.10, 2.0.18, 2.1.14, and 2.2.3 fix the issue.

Parse Dashboard is a standalone dashboard for managing Parse Server apps. In versions 7.3.0-alpha.42 through 9.0.0-alpha.7, the `ConfigKeyCache` uses the same cache key for both master key and read-only master key when resolving function-typed keys. Under specific timing conditions, a read-only user can receive the cached full master key, or a regular user can receive the cached read-only master key. The fix in version 9.0.0-alpha.8 uses distinct cache keys for master key and read-only master key. As a workaround, avoid using function-typed master keys, or remove the `agent` configuration block from your dashboard configuration.

Symfony Polyfill zawiera backporty funkcji PHP i warstwy kompatybilności dla rozszerzeń. Od wersji 1.17.1 do 1.38.1, symfony/polyfill-intl-idn akceptuje etykiety xn-- z pustą zawartością Punycode'u lub dekodujące się wyłącznie do ASCII, ponieważ Idn::process() nie wymusza warunku z UTS #46 revision 33, że zdekodowane etykiety ACE muszą zawierać co najmniej jeden punkt kodu spoza ASCII. Oryginalnie różne nazwy domen mogą być traktowane jako równe, co prowadzi do obejścia blacklist'y, niekonsystentnego parsowania URL-i i SSRF w aplikacjach używających polyfill'u do kanonicalizacji lub porównywania hostname'ów. Problem naprawiono w wersji 1.38.1.

Squid to proxy buforujący dla sieci Web. Przed wersją 7.5, z powodu nieprawidłowej walidacji danych wejściowych, Squid jest podatny na out of bounds read podczas obsługi ruchu ICP. Problem pozwala zdalnemu atakującemu na uzyskanie niewielkich ilości pamięci potencjalnie zawierającej poufne informacje w odpowiedzi na błędy dla nieprawidłowych żądań ICP. Atak jest ograniczony do wdrożeń Squid, które jawnie włączają obsługę ICP (tj. konfigurują niezerowy `icp_port`). Problem nie może być złagodzony poprzez odrzucanie zapytań ICP za pomocą reguł `icp_access`. Wersja 7.5 zawiera łatkę.

DOMPurify to DOM-only sanitizer XSS dla HTML, MathML i SVG. Od wersji 1.0.10 do wersji 3.4.0 (włącznie) flaga `SAFE_FOR_TEMPLATES` usuwa wyrażenia `{{...}}` z niezaufanego HTML w trybie string, ale nie przy użyciu `RETURN_DOM` lub `RETURN_DOM_FRAGMENT`, co umożliwia XSS w frameworkach takich jak Vue 2, które ewaluują szablony. Wersja 3.4.0 zawiera poprawkę.

xdg-dbus-proxy to filtrujący proxy dla połączeń D-Bus. Przed wersją 0.1.7 podatność w parserze polityk pozwala obejść ograniczenia eavesdrop. Proxy sprawdza obecność eavesdrop=true w regułach polityki, ale nie obsługuje eavesdrop ='true' (ze spacją przed znakiem równości) i podobnych przypadków. Klienci mogą przechwycić wiadomości D-Bus, do których nie powinni mieć dostępu. Podatność została naprawiona w wersji 0.1.7.

URI versions before 5.36 for Perl encode non-NFC host names to non-standard punycode labels via missing normalization in nameprep. nameprep lowercases each host label but performs no Unicode normalization. IDNA requires a label to be normalized to Form C before it is encoded (RFC 5891), so a label that is not already in NFC is encoded to a different A-label than its normalized form. A label built from the precomposed Devanagari sequence U+0958 U+093E encodes to xn--72b5c without normalization but to xn--11b2fg after NFC normalization, and xn--72b5c does not round-trip back to the original label. Any caller that reads host() from a URI built from untrusted input and uses it for a security decision (an allow or deny list, an SSRF filter, deduplication, a cache key) sees the non-standard label, while a client that fetches the same URL resolves the NFC form, so the check and the fetch can disagree about the host.

Squid to proxy cache do sieci Web. Przed wersją 7.6, z powodu nieprawidłowej walidacji poprawności składniowej wejścia w bramie FTP (src/clients/FtpGateway.cc), Squid był podatny na out-of-bounds read: gdy wpis daty w formacie listy katalogów TypeA lub TypeB nie był poprzedzony nazwą pliku, parsowanie nie było ograniczone do bufora wejściowego, co pozwalało zaufanemu klientowi uzyskującemu dostęp do błędnie działającego serwera FTP poprzez funkcję bramy Squid na odczytanie pamięci z losowych niezwiązanych transakcji. Problem został naprawiony w wersji 7.6.

Wersje Net::CIDR::Set do 0.20 dla Perl'a akceptują adresy IP i maski sieciowe zawierające znaki spoza zakresu ASCII. Cyfry Unicode, takie jak arabsko-indyjska jedynka (U+0661), były akceptowane ale nieprawidłowo parsowane jako liczby. Mogło to pozwolić maskom sieciowym akceptować większe sieci niż zamierzone.